태평양 시간 10월 29일 오전 2시 27분, AI 개발에서 가장 신뢰받는 도구 중 하나의 새 버전이 Cursor의 확장 마켓플레이스에 게시되었습니다. 이름은 올바르게 Anthropic의 Claude Code였고, 버전 번호 2.1.313도 그럴듯했습니다. 자동 업데이트를 켜 둔 개발자들은 다른 모든 업데이트를 받을 때처럼, 아무런 결정 없이 조용히 이 버전을 받았습니다.
그것은 Anthropic의 빌드가 아니었습니다. Cursor는 Anthropic이 이 버전을 개발하지 않았다고 밝혔고, Anthropic은 자사 시스템이 침해되지 않았다고 밝혔습니다. Cursor의 공개 내용에 따르면, 변조된 버전은 태평양 시간 오후 1시 35분까지 약 11시간 동안 배포되었고 최대 5,000명의 사용자에게 도달했습니다. 공개된 분석은 그 안에 숨어 있던 것을 설명합니다. 그 외에는 정상적인 코드 앞에 로더가 덧붙여져 있어 어시스턴트는 평소처럼 작동했고, 그동안 페이로드는 “svc-telemetry”라는 레이블이 붙은 공격자 제어 SSH 키를 기기의 승인된 키 목록에 추가했습니다. 보도에 따르면 공격자 서버로 연결되는 리버스 터널과, 확장을 제거해도 살아남는 지속성 메커니즘도 있었습니다.
Cursor는 해당 패키지를 내리고 조사하는 동안 마켓플레이스를 닫았습니다. 하지만 그 시간 동안 이미 일은 벌어진 뒤였습니다. Cursor는 확장을 제거해도 백도어가 제거되지 않을 수 있다고 경고했습니다. 11시간이면 충분했습니다.
실제로 무엇이 실패했는가
세부 사항을 걷어 내면 실패는 단순합니다. 도구의 신원은 이름과 버전 문자열뿐이었고, 리포지토리 접근 권한, 클라우드 키, 배포 자격 증명을 가진 수천 대의 기기에서 빌드가 실행되기 전에 그 빌드를 게시자와 대조해 검증한 것은 아무것도 없었습니다.
이름은 주장입니다. 버전 번호도 주장입니다. 10월 29일에는 두 주장 모두 거짓이었고, 마켓플레이스, 자동 업데이트, 개발자 워크스테이션으로 이어지는 전체 체인이 이를 액면 그대로 받아들였습니다. 주장을 액면 그대로 받아들이는 것이 오늘날 도구 공급망이 작동하는 방식이기 때문입니다.
AI 에이전트를 만들거나 사용한다면 이것이 익숙하게 느껴질 것입니다. 저희가 MCP 생태계에서 매일 측정하는 것과 같은 계열의 실패입니다. 신뢰받는 서버의 이름은 그대로인데 그 아래의 코드는 다른 사람의 손으로 넘어간 등록 항목, 버전 변경 없이 설명과 동작이 조용히 수정된 도구, 검토받은 상태에서 벗어난 패키지. Cursor 사건은 에이전트 도구가 아니라 개발자 기기에서 일어난 같은 실패입니다. 아무도 콘텐츠를 신원에 고정하지 않았고, 아무도 중요한 순간에 확인하지 않았습니다.
기존 보안이 이것을 놓치는 이유
기존 플레이북은 공급망이 검토할 수 있을 만큼 오래 가만히 있다고 가정합니다. 여기서는 협력업체 평가, 저기서는 마켓플레이스의 평판, 그리고 팀이 쓰는 도구에 대한 연례 검토. 하지만 도구 공급망은 이제 새로운 서버, 새로운 버전, 조용한 수정으로 매일 바뀌며, 에이전트와 자동 업데이트 도구는 그 공급망에서 끊임없이 가져온 것을 실제 권한으로 실행합니다. 해당 기기의 엔드포인트 보호 도구는 신뢰받는 채널이 정문으로 업데이트를 전달하는 모습을 지켜보았을 뿐입니다. 이를 막을 수 있었던 검사는 애초에 엔드포인트 검사가 아니었습니다. 그것은 신원 검사였고, 존재하지 않았습니다.
도구가 스스로 주장하는 것과 실제로 증명할 수 있는 것 사이의 그 간극이, Redthread가 메우기 위해 설립된 계층입니다.
Redthread는 어떻게 맞서는가
저희의 Agentic Trust & Protection Platform(ATPP)은 단도직입적인 전제에서 출발합니다. 이름이 아니라 빌드를 검증하라. 저희는 MCP 레지스트리 전체에 대한 일일 서명 스캔을 실행하며, 최신 스캔은 이것이 분기별 작업일 수 없는 이유를 보여 줍니다. 11월 2일 스캔은 공식 MCP 레지스트리의 서버 55,375개를 대상으로 했으며, 등록 항목 뒤의 코드가 같은 이름 아래 다른 사람의 손으로 넘어간 등록 항목 바꿔치기 1,518건, 버전 변경 없이 정의가 바뀐 도구 2,193개, 그리고 전날 스캔 이후 변경된 등록 항목 2,075건을 발견했습니다. 이 스캔은 바로 이런 유형의 사건, 즉 검증되지 않은 변경을 신뢰받는 이름으로 감싼 사건을 잡아내기 위해 존재합니다.
- 빌드에 결합된 신원. ATPP는 콘텐츠 고정(content pinning)을 통해 암호학적 에이전트 신원을 빌드에 결합하므로, 신원이 발급 대상인 바로 그 코드에서 벗어날 수 없습니다.
- 검토 시점이 아닌 호출 시점의 검증. 도구가 드리프트하면, 폐기가 그 드리프트로부터 해당 도구를 신뢰하는 에이전트와 위임으로 전파됩니다.
- 핑거프린트가 기록된 도구 정의. 각 서버의 도구 목록은 해시되므로, 버전은 그대로인데 바뀐 도구는 그 정체 그대로 러그풀(rug-pull) 수법으로 표시됩니다. 날마다 서명된 스캔 매니페스트는 공개 Sigstore Rekor 투명성 로그에 고정되므로, 저희의 주장 역시 검증할 수 있습니다.
- 바로 대응할 수 있는 신호. 검사를 통과한 게시자는 검증 가능한 배지를 받고, 신뢰 상태 변화는 서명된 이벤트로 발행되어 게이트웨이, 오케스트레이터, 보안팀이 몇 초 안에 대응할 수 있습니다. 미리 보기 단계인 Enforce 게이트웨이는 이 검증을 호출 경로에 인라인으로 배치합니다.
- 개발자 자신의 도구. 10월 29일 공격이 노린 표면을 위해, 역시 미리 보기 단계인 Claude Code 및 Cursor용 훅은 각 MCP 도구 호출이 실행되기 전에 서버의 서명된 주장과 대조합니다. 또한 AIBOM 내보내기는 기기에 구성된 모든 MCP 서버에 대한 CycloneDX 자재 명세서(BOM)를 제공합니다. 도구 공급망에 대한 추측이 아니라 실제 인벤토리입니다.
ATPP와 함께, 저희의 에이전트 없는 평가 플랫폼은 도구가 실행되는 환경 전체를 다룹니다. 무료 셀프 서비스 스캔은 아무것도 설치하지 않고, 아무도 목록화하지 않은 섀도 AI와 미등록 도구를 포함해 AI 및 도구 사용 현황을 매핑합니다. 발견 사항은 재현 가능한 개념 증명과 함께 실제 익스플로잇으로 검증됩니다. 추론된 점수가 아니라 증거입니다. CI/CD 게이트는 검증되지 않은 도구와 입증된 공격 경로가 파이프라인으로 배포되는 것을 막고, 지속적인 재평가는 보고서 이후의 드리프트를 감시하며, 결과는 팀이 기업 보안 검토자에게 제출할 수 있는 증명서로 정리됩니다.
저희는 자사 제품에도 같은 기준을 적용합니다. 탐지만 하고 결코 차단하지 않는 선택형 엔드포인트 센서는 단계적 롤아웃 게이트를 통해 업데이트를 받습니다. 호스트의 1%, 10%, 50%, 100%로 이어지는 카나리 링을 거치며, 어느 링이든 정상 상태로 돌아오지 않으면 자동으로 중단됩니다. 10월 29일은 보호받지 못한 업데이트 채널이 어떤 결과를 낳는지 보여 줍니다. 저희는 그 교훈이 저희에게도 적용된다는 전제로 업데이트 채널을 만들었습니다. 실제로 적용되기 때문입니다.
함께 만들어 갑시다
Redthread는 프로덕션 시스템을 운영하는 젊은 회사이며, 이를 가장 빨리 강화하는 방법은 이 문제를 가장 먼저 체감하는 팀들과 함께 현장에서 다듬는 것입니다. 저희는 창립 디자인 파트너 자리를 두세 곳 엽니다. 파일럿은 30~45일 동안 무료입니다. 저희가 귀사의 환경을 스캔하고 하나의 실제 워크플로에 신원과 검증을 적용하면, 귀사는 다음 기업 보안 검토에서 실제로 인정받을 증거를 얻게 됩니다. 창립 파트너는 대폭 할인된 가격을 고정으로 확보하고, 직접 사용할 제품을 함께 만들어 갑니다.
귀사의 에이전트가 직접 작성하지 않은 도구를 호출한다면(실제로 그렇습니다), 무료 환경 스캔으로 시작하고, 신뢰 데이터는 다음에서 확인하세요: trust.redthreadsec.com, 그리고 저희와 함께 검증 계층을 만들어 가세요. 10월 29일은 검증되지 않은 신뢰의 11시간이 어떤 대가를 치르는지 보여 주었습니다. 다음 가짜 빌드가 환영 인사가 아니라 벽을 마주하도록 만듭시다.